De overheid gaat naar aanleiding van een rapport van de Cyber Security Raad (CSR) bedrijven wijzen op de plicht die ze hebben om over een adequate digitale beveiliging te beschikken. Dat heeft demissionair minister Kamp van Economische Zaken laten weten op Kamervragen van de SP.

In de praktijk blijkt dat bedrijven onvoldoende van de zorgplicht voor een adequate beveiliging op de hoogte zijn. Dat kan er bijvoorbeeld toe leiden dat bedrijven hun systemen onvoldoende beveiligen en er producten op de markt worden gebracht die onvoldoende tegen aanvallen zijn beveiligd. De CSR heeft het Kabinet geadviseerd zelfregulering ten aanzien van 'zorgplichten' te stimuleren, het voortouw te nemen in een discussie hierover, en de wetgeving van Europese lidstaten op elkaar af te stemmen.

Volgens Kamp geeft het CSR-rapport hem aanleiding om, in aanvulling op eerdere voorlichting over veilig internetten, bedrijven nog eens via diverse kanalen expliciet op de hoogte te stellen van deze zorgplichten. "Hierover zal actief worden gecommuniceerd, onder andere via brancheorganisaties, het ondernemersplein en veiliginternetten.nl", aldus de minister.

De CSR stelde ook dat er ook bedrijven zijn die hun verantwoordelijkheid bewust negeren en vervolgens aansprakelijkheid trachten te ontlopen via ontsnappingsclausules in contracten. SP-Kamerlid Hijink wilde weten hoeveel bedrijven bewust hun verantwoordelijkheden negeren voor wat betreft cybersecurity, hoeveel van deze bedrijven de aansprakelijkheid via ontsnappingsclausules afwentelen en hoe er op illegale ontsnappingsclausules wordt gehandhaafd.

Minister Kamp laat weten dat er geen inzicht is in het aantal bedrijven dat hun verantwoordelijkheid voor wat betreft cybersecurity bewust negeert of ontsnappingsclausules hanteert. Wel wijst hij naar de Wet bescherming persoonsgegevens en handhaving door de Autoriteit Persoonsgegevens, bijvoorbeeld in het geval van de meldplicht datalekken. Hijink vroeg de minister ook of de toezichthouder wel over voldoende mankracht beschikt om de meldplicht datalekken te handhaven, maar dat is volgens Kamp wel het geval (pdf).